Een factuurmail herkennen zonder op de bijlage te klikken

Veel mensen openen de bijlage om te zien of de factuur klopt. Dat draait de volgorde om: de bijlage is vaak het risico zelf. Eerst controleer je de context, pas daarna bepaal je of openen nog nodig is.

Phishing is een vorm van aanval waarbij een afzender zich voordoet als een vertrouwde partij om je tot een handeling te bewegen. MDN beschrijft phishing als een van de gangbare aanvallen op websites en hun gebruikers (MDN over webbeveiliging). Een factuurmail is daar een dagelijkse variant van: de handeling is een klik, een inlog of een overschrijving.

Let op de grens van deze gids. Een controle zonder openen kan een verdachte mail ontmaskeren, maar kan een goed gemaakte vervalsing niet altijd uitsluiten. Daarom eindigt de procedure steeds bij een bevestiging langs een route die jij zelf kent, niet bij een gevoel dat de mail er goed uitziet.

Werk deze stappen in volgorde af, zonder bijlage of link te openen.

1. Verwachtte je deze factuur? Zoek in je eigen administratie, bestelbon of offerte of er een lopende opdracht is met dit bedrag en deze leverancier.
2. Bekijk het volledige afzenderadres, niet enkel de weergavenaam. Een bekende naam kan boven een volkomen ander adres staan. Vergelijk het domein letter voor letter met eerdere echte mails van die leverancier.
3. Vergelijk met de geschiedenis. Komt deze mail uit dezelfde conversatie of van hetzelfde adres als vorige facturen? Een plots nieuw adres of een nieuwe mailketen is een reden om te vertragen.
4. Beoordeel de vraag zelf. Gaat het om een nieuw rekeningnummer, een aangepaste betaalwijze, extreme haast of een dreigement bij niet-betalen? Dat zijn aanleidingen voor extra controle, geen bewijs op zichzelf.

Houd je bevindingen kort bij, bijvoorbeeld in een notitie bij de mail. Zo kan een collega je afweging nalezen als de factuur later toch betwist wordt.

De kern van de procedure: bevestig de betaalvraag via een kanaal dat niet uit de verdachte mail komt. Antwoord dus niet op de mail en bel niet het nummer dat erin staat.

• Gebruik het telefoonnummer uit je eigen contactenlijst, een eerdere offerte of de website die je zelf intypt.
• Vraag de contactpersoon die je kent: heeft jullie administratie deze factuur met dit nummer en dit bedrag verstuurd?
• Bij een gewijzigd rekeningnummer vraag je een bevestiging van een tweede persoon bij de leverancier, niet van de afzender van de mail.
• Betaal pas nadat de bevestiging binnen is, ook als de vervaldatum nadert. Een echte leverancier begrijpt een korte vertraging voor een controle.

Registreer wie je gesproken hebt en wanneer. Een bevestiging die enkel via dezelfde mail terugkomt, telt niet als onafhankelijk.

Twijfel je tussen twee rijen, kies dan de voorzichtigste. Het uitstellen van een betaling is herstelbaar, een foute overschrijving veel minder.

Stel: je krijgt een mail van een leverancier die je kent, met een bijlage en de melding dat het rekeningnummer gewijzigd is. Je bent die dag afwezig vanaf de middag en een collega neemt de controle over. Jouw overdrachtsnotitie bevat enkel invoer en nog uit te voeren controles, geen aannames.

1. Mail ontvangen, bijlage niet geopend, link niet gebruikt.
2. Afzenderdomein vergelijken met de vorige drie echte facturen van deze leverancier.
3. Vraag nagaan of er in onze administratie een openstaande opdracht bestaat die bij deze factuur past.
4. Rekeningwijziging bevestigen via het nummer uit onze eigen contactenlijst, bij een tweede persoon bij de leverancier.
5. Pas na een bevestiging de betaling inplannen en de notitie aanvullen met naam en tijdstip van het gesprek.
6. Komt er geen bevestiging, dan melden aan de zaakvoerder en de mail bewaren zonder te openen.

Zo hoeft je collega niets te raden en blijft de beslissing herleidbaar. Wat de uitkomst van de controle is, weet je pas na de controle zelf.

Soms klikt iemand toch. Beperk de schade vooraf door je accounts beter te beveiligen. Google legt uit dat tweestapsverificatie een extra beveiligingslaag toevoegt voor het geval je wachtwoord wordt gestolen (Google over tweestapsverificatie). Dezelfde pagina beschrijft ook toegangssleutels, die alleen op je apparaten bestaan en niet opgeschreven of per ongeluk doorgegeven kunnen worden. Heeft iemand al op een link geklikt of ingelogd via de mail, wijzig dan meteen het wachtwoord van dat account, trek actieve toegang in en meld het aan de verantwoordelijke, zonder te wachten op een volledige inventaris. Of jouw accounts toegangssleutels ondersteunen en welke instellingen beschikbaar zijn, controleert de beheerder in de accountinstellingen, want schermen en rechten kunnen wijzigen.

Spreek daarnaast intern af wie betalingen mag vrijgeven en dat een wijziging van een rekeningnummer altijd een tweede handtekening vraagt. Dit vervangt je oplettendheid niet, het verkleint de kans dat één klik tot een betaling leidt.

Wil je ook zien welke signalen van je eigen website publiek zichtbaar zijn voor bezoekers en klanten? Bekijk ze via Marketing Scan. Een publieke scan meet zichtbare signalen en bewijst geen volledige interne beveiliging.